OpenAI installe la résidence des données en Europe : ce que cela change

Le débat sur les données de ChatGPT ne se résume plus à une question technique. Pour une entreprise, une université ou une administration européenne, savoir où sont stockés les contenus confiés à un outil d’intelligence artificielle peut conditionner un achat, une analyse de risques et la confiance des utilisateurs. Le 5 février 2025, OpenAI a donc annoncé une option de résidence des données en Europe, attendue par les organisations qui souhaitent déployer ses services dans un cadre plus compatible avec leurs exigences de gouvernance.

Cette annonce mérite toutefois d’être lue avec précision. Elle ne signifie pas que toutes les conversations de ChatGPT sont désormais hébergées en Europe, ni que le seul choix d’un stockage européen rend automatiquement une organisation conforme au Règlement général sur la protection des données, le RGPD. Elle ouvre une possibilité ciblée pour des offres et des projets professionnels, avec des conditions à examiner au cas par cas.

Ce qu’OpenAI a annoncé pour l’Europe

OpenAI propose aux clients éligibles de choisir l’Europe comme région de résidence de leurs données. La mesure vise les nouveaux utilisateurs de ChatGPT Enterprise et de ChatGPT Edu, ainsi que les clients qui créent de nouveaux projets sur sa plateforme API. Les offres grand public de ChatGPT ne font pas partie du périmètre présenté dans l’annonce.

Concrètement, il s’agit de stocker en Europe, « au repos », les contenus clients concernés. Cette notion désigne les données conservées sur des systèmes de stockage, par opposition aux informations qui circulent temporairement pendant une communication ou un traitement. Selon l’usage, ces contenus peuvent notamment inclure les requêtes adressées au modèle, les réponses générées ou des fichiers transmis au service.

OpenAI présente cette option comme une réponse aux besoins des organisations européennes, notamment celles dont les politiques internes, les contrats ou le secteur d’activité imposent des garanties particulières sur la localisation des données. Elle s’inscrit aussi dans une évolution plus large du marché de l’IA : les grands fournisseurs cherchent à proposer des déploiements régionaux pour convaincre des clients soumis à des contraintes réglementaires fortes.

L’annonce ne précise pas qu’un pays européen unique serait imposé ou que toutes les opérations techniques seraient exclusivement réalisées dans un seul État. Elle porte sur la région de résidence et sur le stockage des données au repos. Pour les clients, cette distinction est essentielle : la localisation d’un stockage ne décrit pas, à elle seule, l’ensemble du cycle de vie d’une donnée.

Pourquoi cette localisation intéresse les entreprises européennes

Les outils d’IA générative peuvent recevoir des informations très variées : brouillons de contrats, extraits de code, notes de réunion, données clients, travaux d’étudiants ou documents internes. Même lorsqu’une organisation interdit d’y verser des données sensibles, le risque d’une transmission involontaire existe. Une politique claire est donc nécessaire avant tout déploiement.

Pour les directions informatiques et juridiques, une région européenne peut simplifier certaines procédures internes. Elle répond notamment à des exigences formulées par des clients, à des règles sectorielles ou à des analyses d’impact. Elle peut aussi réduire l’incertitude perçue par les salariés, qui hésitent parfois à utiliser un assistant d’IA de peur de faire sortir des documents de leur environnement habituel.

Le RGPD ne pose pourtant pas un principe absolu selon lequel toute donnée concernant une personne européenne doit rester physiquement dans l’Union européenne. Il encadre surtout le traitement des données et les transferts vers des pays tiers. Une entreprise peut traiter des données hors de l’Union, à condition de respecter les garanties prévues par le règlement : base légale, information des personnes, sécurité, limitation des finalités, durée de conservation adaptée et mécanisme de transfert valable lorsque celui-ci est nécessaire.

La résidence européenne est donc un élément utile, mais non une réponse unique. Une organisation doit toujours se demander quelles données seront envoyées au service, pour quelle finalité, qui peut y accéder et combien de temps elles seront conservées.

Résidence européenne et conformité RGPD : ce que cela garantit, et ce que cela ne garantit pas

Le RGPD repose sur le principe de responsabilité, souvent appelé « accountability ». Cela signifie que le responsable du traitement, par exemple une entreprise qui demande à ses salariés d’utiliser un outil, doit être capable de démontrer qu’il a mis en place des garanties adaptées. Le fournisseur de l’outil joue fréquemment le rôle de sous-traitant, selon les usages et le contrat conclus.

Choisir une région de stockage européenne peut contribuer à limiter certains flux internationaux. Mais cette option ne tranche pas toutes les questions de conformité. Les équipes concernées doivent notamment regarder les conditions de traitement des données, les mesures de sécurité, la gestion des incidents, les éventuels sous-traitants ultérieurs, la conservation des contenus et les modalités d’exercice des droits des personnes.

Un autre point mérite une attention particulière : un traitement peut comporter plusieurs étapes. Une donnée peut être stockée dans une région donnée tout en faisant l’objet d’un accès, d’une assistance technique ou d’une opération de sécurité qui soulève d’autres questions de localisation et de transfert. Il ne faut donc pas déduire de la seule mention « Europe » l’absence totale de tout accès ou transfert international.

Quel est le rôle de la Cnil dans ce dossier ?

En France, la Commission nationale de l’informatique et des libertés, la Cnil, est l’autorité chargée de veiller à l’application du RGPD et de la loi Informatique et Libertés. Elle informe les organisations et le public, accompagne certaines démarches, reçoit les plaintes et peut mener des contrôles. Elle peut également prononcer des mesures correctrices et des sanctions lorsque les règles ne sont pas respectées.

La localisation de données en Europe constitue un sujet que la Cnil examine dans le cadre plus général des transferts internationaux et de la sécurité des traitements. Pour autant, l’autorité ne délivre pas une approbation générale, préalable et définitive d’un fournisseur d’IA au seul motif qu’il dispose d’une infrastructure européenne. Une conformité se mesure toujours à partir d’un traitement concret.

Les autorités européennes de protection des données ont, ces dernières années, rappelé que l’utilisation de services numériques extra-européens suppose une vigilance sur les transferts et sur la protection effective des personnes. Pour une organisation française, l’enjeu consiste donc moins à rechercher une formule magique qu’à documenter une décision : quelles données sont concernées, pourquoi l’outil est utilisé, quelles mesures limitent les risques et quelles garanties sont prévues avec le fournisseur.

Les sanctions potentielles en cas de manquement au RGPD peuvent être élevées. Le règlement prévoit, selon la nature de l’infraction, des amendes administratives pouvant atteindre 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu. Ce plafond ne signifie pas qu’il est appliqué automatiquement, mais il illustre l’importance accordée à la protection des données.

Les vérifications à mener avant d’utiliser ChatGPT ou une API

L’arrivée de l’option européenne ne remplace pas le travail de gouvernance. Avant de déployer ChatGPT Enterprise, ChatGPT Edu ou une API, une organisation gagnera à associer ses équipes métiers, informatiques, de sécurité et de protection des données. Le délégué à la protection des données, lorsqu’il existe, doit pouvoir être consulté suffisamment tôt.

Quelques vérifications sont particulièrement utiles :

• identifier les catégories de données qui pourraient être saisies dans l’outil, en distinguant les données ordinaires, confidentielles et sensibles ;
• sélectionner la région européenne lorsque l’offre et le projet le permettent, puis conserver une preuve de ce paramétrage ;
• lire l’accord de traitement des données et les conditions applicables aux sous-traitants éventuels ;
• vérifier les règles de conservation, de suppression, de chiffrement, de journalisation et de gestion des incidents ;
• définir une charte d’usage simple pour les collaborateurs, avec des exemples concrets de contenus interdits ou nécessitant une validation ;
• évaluer la nécessité d’une analyse d’impact relative à la protection des données lorsque le traitement est susceptible d’engendrer un risque élevé pour les personnes.

La qualité de la formation des utilisateurs compte autant que l’infrastructure. Un salarié qui colle dans une conversation un fichier contenant des informations médicales, un mot de passe ou des données clients peut créer un risque, même si l’organisation a retenu l’option européenne. À l’inverse, un usage correctement encadré, fondé sur des données minimisées ou anonymisées, peut réduire fortement l’exposition.

Une étape dans la concurrence pour l’IA en Europe

En ouvrant une option de résidence des données en Europe, OpenAI répond à une préoccupation devenue centrale dans les appels d’offres et les stratégies numériques. Les acheteurs ne comparent plus seulement la qualité des réponses d’un modèle ou le coût d’une API. Ils demandent des informations précises sur l’hébergement, le contrôle des accès, la confidentialité des contenus et les garanties contractuelles.

Cette évolution concerne l’ensemble du secteur. Les fournisseurs de cloud et d’IA sont poussés à adapter leurs infrastructures et leurs offres aux exigences européennes. Pour les entreprises locales, cette dynamique peut favoriser l’adoption d’outils d’IA dans des domaines jusqu’ici prudents, comme l’enseignement supérieur, les services professionnels ou certaines fonctions internes des grandes organisations.

Elle ne résout pas pour autant les débats liés à la dépendance technologique. Héberger des données en Europe ne suffit pas à répondre à toutes les questions de contrôle sur les logiciels, les modèles, les mises à jour, les chaînes de sous-traitance ou les lois susceptibles de s’appliquer à un groupe international. C’est pourquoi la résidence des données doit être évaluée comme une garantie parmi d’autres, et non comme la totalité d’une stratégie de souveraineté.

Ce qu’il faut surveiller

Dans les prochains mois, les clients devront observer la mise en œuvre concrète de cette option : son périmètre exact, les services effectivement éligibles, les modalités de migration pour d’éventuels projets existants et la documentation contractuelle proposée. Les besoins varieront fortement entre une petite entreprise qui utilise ponctuellement un assistant rédactionnel et une organisation qui branche une API sur des processus traitant un grand volume de données.

Il faudra également suivre l’articulation entre le RGPD et les nouvelles règles européennes sur l’intelligence artificielle. Le règlement européen sur l’IA, l’AI Act, a commencé à voir certaines de ses dispositions s’appliquer le 2 février 2025, notamment sur les pratiques interdites et la sensibilisation à l’IA. Il ne remplace pas le RGPD : les deux textes poursuivent des objectifs différents et peuvent s’appliquer simultanément à un même service.

L’annonce d’OpenAI marque ainsi une évolution concrète pour les clients professionnels européens. Son intérêt réel dépendra moins de la formule « serveurs en Europe » que de la capacité des organisations à vérifier les garanties proposées, à limiter les données envoyées et à garder la maîtrise de leurs usages de l’IA.